Właśnie ukończyliście pierwszy kwestionariusz bezpieczeństwa klienta. Godziny spędzane na poszukiwaniu, kto odpowiada za zaporę sieciową, jakie zasady zarządzania hasłami faktycznie stosujecie, czy mamy napisaną procedurę tworzenia kopii zapasowych. A potem za trzy miesiące pojawia się drugi klient z podobną listą pytań, i czujecie się, jakbyście zaczynali od nowa. To niepotrzebne: różnica między pierwszym a drugim kwestionariuszem nie polega na tym, jak szybko piszecie, ale na tym, czy podczas pierwszego rozpatrzenia czegoś udokumentowaliście, aby móc do tego wrócić.
Kwestionariusze bezpieczeństwa różnych nabywców nakładają się w znacznym stopniu. Firma instalacyjna dostarczająca komponenty dla operatora sieci energetycznej i placówki medycznej otrzymuje pytania, które w osiemdziesięciu procentach są identyczne: czy istnieje osoba odpowiadająca za bezpieczeństwo informacji, jak zarządzacie dostępem do systemów, co robicie w przypadku incydentu, jak często testujecie kopie zapasowe. Sformułowanie różni się dla każdego klienta, ale podstawowe pytanie pozostaje takie samo. Kto odpowiedź przy pierwszej okazji umieszcza tylko w e-mailu do tego jednego klienta, musi ją drugi raz szukać. Kto odpowiedź udokumentowuje jako część dossier, kopie i dostosowuje sformułowanie.
Co rzeczywiście zmienia się drugi raz
Sednem każdego kwestionariusza — jakie są środki, kto jest właścicielem, jaki dokument je potwierdza — zmienia się mało między jednym klientem a drugim. Co się różni, to forma pytania: jeden nabywca pyta o 'kontrolę dostępu', inny o 'zarządzanie tożsamością i dostępem', a trzeci chce odpowiedź tak/nie tam, gdzie pierwszy chciał wyjaśnienia trzema zdaniami. To dokładnie ta część, która nie powinna zajmować dużo czasu, jeśli podstawowe informacje są już w porządku. Przeformułowujecie sformułowanie, nie treść.
Istnieje jedno ważne wyjątek: jeśli między pierwszym a drugim kwestionariuszem zmienił się coś w waszej organizacji — nowy dostawca, inny system tworzenia kopii zapasowych, zmieniona osoba odpowiedzialna — to jest moment, aby zaktualizować dossier, a nie sam kwestionariusz. Dossier, które nie odzwierciedla rzeczywistości, będzie powodować opóźnienia przy trzecim lub czwartym kliencie, ponieważ musicie wtedy sprawdzić, co jest jeszcze aktualne, a co nie.
Różnica między odpowiedzią na ankietę a prowadzeniem dokumentacji
Ankieta to migawka dla jednego odbiorcy. Dokumentacja to aktualny przegląd środków, które Twoja organizacja już wdrożyła, niezależnie od tego, kto o nich pyta: jaki jest status każdego środka, jaki dokument go poświadcza i kto w organizacji jest za niego odpowiedzialny. Gdy taki przegląd już istnieje, każda napływająca ankieta jest zasadniczo eksportem w innej kolejności. przejrzeć dziesięć środków ochronnych obowiązanych do zapewnienia w każdej sytuacji daje obraz tego, które elementy zwykle się powtarzają, nawet jeśli Twoja organizacja nie podlega bezpośrednio wymogom NIS2, ale jest dotknięta przez odbiorcę.
To rozróżnienie jest również źródłem oszczędności czasu dla organizacji, które same nie mają obowiązków — dużej grupy małych i średnich dostawców, na których regulacje działają poprzez obowiązek ochrony ich odbiorcy. Oni nie muszą wdrażać ustawę, ale muszą wielokrotnie wykazać, że podstawowe sprawy są w porządku. Ktoś, kto po raz pierwszy odpowiada na rozwiązaną wiadomość e-mail, wykona taką samą pracę u drugiego odbiorcy. Ktoś, kto dokumentuje to w swoim archiwum, widzi, jak praca dla każdego dodatkowego odbiorcy maleje zamiast pozostawać taka sama.
Gdzie przebiega granica
Dossier i odpowiedzi przygotowane na jego podstawie nie zastępują oceny przeprowadzanej przez odborcę i nie gwarantują, że następna lista kontrolna zostanie rozpatrzona bez dodatkowych pytań — każdy odbiorca sam ocenia, co dla niego wystarczające. Dossier nie zastępuje również audytu, testu penetracyjnego ani certyfikacji; pozostaje to pracą wyspecjalizowanych firm. To, co robić, to przygotować powtarzające się pytanie "jak to u nas zorganizowane" do wielokrotnego użytku, aby nie trzeba było za każdym razem na nowo się tego domniemywać.
Czy organizacja znajduje się w łańcuchu dostaw odbiorcy, czy sama podlega Ustawie o bezpieczeństwie cyberprzestrzeni, można stwierdzić za pomocą kilku pytań poprzez sprawdzenie zgodności z NIS2, które w kilka minut daje orientacjęTen test jest bezpłatny i można go przeprowadzić bez konta, tak jak wyjaśnienia dotyczące poszczególnych tematów w bazie wiedzy. Sam dossier, zawierający status każdego środka, dokumentację i przygotowane odpowiedzi na następną listę kontrolną, jest dostępny w ramach subskrypcji — możliwe jest sprawdzenie co dokładnie jest zawarte.
Kto chce wiedzieć, skąd pochodzą informacje na platformie i jak są aktualizowane, przeczyta to na stronie wyjaśniającej źródło informacjiW przypadku sytuacji własnej — jakie pytania może zadać konkretny odbiorca i jak daleko może zaszedł — wciąż zalecane jest skonsultowanie się z prawnikiem lub właściwym organem nadzoru w razie wątpliwości; dossier przygotowuje, ale nie ocenia za Państwa.
Zacznij od pytania, gdzie dokładnie znajduje się Twoja organizacja: sprawdzenie zgodności z NIS2 daje orientację w kilka minut, bez konieczności posiadania konta.